Japan Security Analyst Conference 2022

カオス化する A41APT キャンペーン
に対して私達ができること
柳下 元、玉田 清貴、中津留 勇、石丸 傑
2022年1月27日

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

著者紹介

柳下 元
株式会社マクニカ
ネットワークス
カンパニー

玉田 清貴

中津留 勇
セキュアワークス
株式会社

石丸 傑
株式会社
カスペルスキー2

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

目次
今の A41APT の情報を持ち寄り共有●

A41APT キャンペーンとは●2021年も継続する A41APT キャンペーン

●○継続・アップデートされた TTPs○

2021年に初めて観測された TTPs○

攻撃グループの考察

カオス化する A41APT キャンペーンに対抗するために
3

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

A41APT キャンペーンとは4Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

A41APT キャンペーン概要
JSAC 2021 で公表された攻撃キャンペーン
●

活動時期
○

●

被害組織
○

●

2019年3月から2021年1月
日本 (日系企業／日系企業の海外拠点)

名称の由来
○

接続元の端末名 DESKTOP-A41UVJV から A41APT と命名

公開システムから侵入し、SigLoader や SodaMaster といったマルウェアを展開する攻撃キャンペーンを「A41APT キャンペーン」と区別
5

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること明らかにされた TTPs
初期侵入

内部探索

永続化

横断的侵害

目的実行

海外拠点や子会社の公開システムの脆弱性や正規アカウントで侵入ネットワークを探索しRDP サーバに接続

タスクスケジューラでマルウェアを設置

日本の本社ネットワー
クに RDP 接続試行機密情報を探索、暗号化・圧縮して持ち去る

拠点● Pulse Connect Secure● SigLoader● SodaMaster● P8RAT● Cobalt Strike● FYAntiLoader● WinRAR
本社● csvde● AdFind● スキャナ● PowerShell
6

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

2021年も継続する
A41APT キャンペーン

7

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

2021年も継続していた A41APT キャンペーン
●日本国内を含む複数の組織において攻撃が行われたことを確認○

2020年から継続・アップデートされた TTPs や、初めて確認された TTPs など、著者それぞれが異なる複数のインシデントを調査

拠点● Pulse Connect Secure● FortiGate● Cisco AnyConnect● Microsoft Exchange Server● SigLoader● HUI Loader● Jackpot● China Chopper● SodaMaster● WinRAR本社● csvde● Mimikatz● Secretdump● PsExec
8Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

トレンドマイクロ社により公開された情報
https://blog.trendmicro.co.jp/archives/29842

9

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

継続、アップデートされた TTPs
2021年も継続する A41APT キャンペーン

10

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

VPN デバイス経由の侵入
2021年に発生したインシデントで観測●既知の脆弱性の悪用が目立つ○○○●Pulse Connect Secure
FortiGate: CVE-2018-13379
Cisco AnyConnect: CVE-2020-3125

今はパッチが適用されていても、当時の認証情報は漏れているかもしれない

DESKTOP-A41UVJV は見られず、別途観測されていた DESKTOP-O2KM1VL が継続して使用されていることを確認している（A41APT の由来が消えた）
11

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

侵入後に使用するツールセット●

組織内部での認証情報窃取や横断的侵害などに使われたツールにいくつか変化が見られる
○
○
○
○
○

●

Mimikatzsecretdump.py
PsExeccsvde
WinRAR

よく使われるツールを必要に応じて取り入れていると考えられる

12

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

マルウェアのアップデート●

継続して SigLoader と SodaMaster が使用されている○一方で Cobalt Strike, P8RAT, FYAntiLoader は見られていない●

SigLoader と SodaMaster には変化が見られる○○

コンパイル時刻の改ざん■

SigLoader: 2021/?? -> 2017/05 など■

SodaMaster: 2021/04 -> 2012/10 など

仕様変更や機能追加■

SigLoader: 復号処理の変化■

SodaMaster: コマンドやデータフォーマットの変化

13

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SigLoader の変わらぬ流れ
Decode &decrypt

DLL
Side-Loading

SigLoader

Decrypt &decode

Shellcode

SigLoader

Shellcode

Payload
ペイロードによって異なる
ローダーシェルコード

Legitimate fileLayer I

Signed DLL withencrypted shellcode

Layer II

Signed DLL withencrypted shellcode

Layer III

Layer IV

Layer V
14

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SigLoader の復号処理の変化●

復号アルゴリズムの識別子が文字列から数値へと変更○○○●

0: AES
1: DES
3: XOR

復号アルゴリズムの順番は別途ハードコード

Layer I

Layer III
確認した Layer I と Layer III それぞれの
SigLoader はアルゴリズムが逆順に設定されていた

15

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SigLoader の復号処理の変化●●

AES モードは CBC から ECB へ変更
32文字の先頭16文字を暗号鍵として使用nuWU1hZsNRptORhwI8iY4sYm0WQjbfjB

16

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SodaMaster の変遷観測した 20+の検体をコンパイル日時の共通点から 3つのバージョン、6回の活動に分類
バージョン 1
● コマンドは2種類 (d,s)● 32bit DLL● wininet.dll を利用した HTTPS 通信● オリジナルDLL名が httpsWin32.dll

バージョン 2● コマンドが 4種類に増加● ws2_32.dll を利用した通信に変更● オリジナル DLL名を消去バージョン 2
● 初回データ送
信時の暗号化
手順が増加● オリジナル
DLL名がtcpcX64.dllにバージョン 1
● 64bit DLL● DLLのオリジナル名がhttpsX64_d.dll● コンパイル日時改ざんが始まる

2019年 1/7?

2020年6/1010/20

2021年

バージョン 2
● 初回データ送信時の暗号化手順が変化

バージョン 3● コマンドが22種類に増加● VM検知の削除● シェルコードのマジックナンバーが変化? 4/1617

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

各 SodaMaster の比較※ 改ざんが疑われるコンパイル日時は薄灰色バージョン 1
コンパイル日時

2019/01/07
10:33:18

2016/07/28
23:34:54

ファイル形式x86 DLL

x64 DLL

オリジナル DLL 名

httpsWin32.dll

httpsX64_d.dll

バージョン 2

2019/06/10
16:58:10

2020/10/20
10:46:49

バージョン 3

2016/07/28
19:07:26

x64 DLL

2012/10/13
12:00:07
x64 DLL-tcpcX64.dll

tcpcX64.dll-DLLEntry

DLLEntry

エクスポート関数

DLLEntryネットワーク API

wininetws2_32

ws2_32

コマンドd, sd, f, l, sc-x

VM 検知✓✓--

収集した端末情報の格納アドレスを使用

末尾に追加する不要データのサイズ計算-GetTickCount を GetTickCount を使用
使用
18Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SodaMaster 用シェルコードの変化
過去報告されていたシェルコードと動作は変わらず● バージョン 3 では、magic bytes が更新● SodaMaster の更新に伴いデータのサイズも増加

JSAC2021 [1]19Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SodaMaster の最新コマンド一覧※ e, j, k, n-p, t-vは未実装※ 赤字はトレンドマイクロの解析結果との差分

コマンド

動作

コマンド動作cMicrosoft Outlook の認証情報の窃取

l

C2 との通信間隔の設定

d

DLL の実行（指定したエクスポート関数）mスクリーンショットの取得

f

送信データへのサイズ情報追加の有効化/無効化

q

キーロガーの有効化

r

キーロガーの無効化s

シェルコードの実行（関数テーブル有）w

メッセージボックスで文字列を表示

x

プロセス終了g

シェルコードの実行（関数テーブル無）h

指定の接続先へ送信元を偽装したパケット送信を繰り返す (DoS？)i

指定の接続先へ 0x20000バイトの 0xCC で埋められたデータ送信を繰り返す (DoS？)

20

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

コマンド増加に伴う SodaMaster コマンド処理の変化
数が多くなったことにより Case 文を廃止
バージョン 2
バージョン 321

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SodaMaster の初回送信データのフォーマット
●●送信データチャンクのフォーマット
1 Byte1 Byte

データサイズ分

ID

データサイズ（可変長の場合のみ）

データ実際の送信データ (暗号化前)

22

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SodaMaster の初回送信データの内容
7種類のデータを送信ID

サイズ

データ0x03

可変

ユーザ名

0x07

可変

コンピュータ名

0x04

5 バイト

PID, 権限フラグ

0x40

9 バイト

プロセッサのアーキテクチャ (1 バイト), OS メジャーバージョン (2 バイト),
OS ビルド番号 (2 バイト), レガシー OS フラグ (例: Win2003 x64 = 0xFF10) (2 バイト),
OS プロダクトタイプ (2 bytes)

0x05

可変

実行日時 (yyyy/mm/dd hh:mm:ss)

0x06

可変

C2 通信の暗号化で使用するRC4鍵

0x08

4 バイト

ソケット名
23

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

SodaMaster の初回送信データの暗号化
1.

RSAで暗号化○○2.
3.

RSA 暗号化 + 反転

Base64 エンコードされた公開鍵がハードコード
検体ごとに公開鍵は異なる

暗号化後のデータを反転
末尾に不要なデータを追加（バージョン2以降）○

追加データのサイズ計算（検体によって方法が異なる）
i. (暗号化後データが格納されたアドレス + 感染端末から取得した情報が格納されたアドレス) % 0x50 +5ii. (暗号化後データが格納されたアドレス +GetTickCount の戻り値) % 0x50 + 5○

末尾に追加される不要なデータ

特定のアルゴリズムで暗号化後のデータから1バイトずつ抽出して末尾に追加

24

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

これまで報告されていなかったTTPs
2021年も継続する A41APT キャンペーン

25

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

Jackpot Webshell●

トレンドマイクロ社が詳細解析結果を公表したWebshell○

2021年に新たに観測された SigLoader のペイロードの1つ●

スタンドアロンの HTTP サーバとしても動作○

特定 URL に接続された際に Webshell として動作■○

被害組織のドメインがハードコードされている

公開されているサーバでなければならいため、IISサーバで発見されることが多い■

IIS が稼動していても寄生する形で動作可能
26

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

Microsoft Exchange Server を起点とした侵入
ProxyShell の脆弱性を悪用●

脆弱性の悪用で得た PowerShell セッションで以下のコマンドを実行
○

copy○

dir

○

ipconfig /all○

net user /domain○

net time /domain○

wmic /node:<ip address> process call create cmd /c Dnscmd /EnumZones ><output file>○[System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String('<string>')) |

○
○
○
○
○ping
query user
typetasklist
whoami

Out-File -FilePath <ツール群の保存パス>●

最後に China Chopper Webshell を設置
27

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

HUI Loader の使用●

2015年から存在していた名前の無いローダーが SodaMaster のローダーとして使用されていた○

文字列 "HUIHWASDIHWEIUDHDSFSFEFWEFEWFDSGEFERWGWEEFWFWEWD" から命名

28

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

HUI Loader の流れ
XOR decode &code injection

RC4 decrypt

HUI Loader

SodaMaster
Shellcode

SodaMaster

DLL Side-Loading

svchost.exe

Legitimate file
Encodedshellcode

Layer I

Layer II

Layer III29

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

HUI Loader のデコード処理
検体ごとに固有の鍵を使用して XOR を行う

30

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

攻撃グループの考察
2021年も継続する A41APT キャンペーン

31

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

これまでに言われている攻撃グループ像BRONZE RIVERSIDE (APT10) に近い攻撃グループ？

32

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

A41APT と BRONZE RIVERSIDE と LockFile
2021年8月に HUI Loader が BRONZE RIVERSIDE と LockFile で使用されていると指摘

33

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

カオス化する A41APT キャンペーンの再定義使用する独自マルウェアでは一括りにできないが、攻撃グループは中国に関連している可能性は高い

VPN + RDPHUI Loader

SigLoader

BRONZE RIVERSIDEとの関連性

xRAT

Cobalt Strike

SodaMaster

WinRAR

BRONZE RIVERSIDEとLockFile との関連性

P8RATPlugX

ProxyShell

Mimikatz34

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

カオス化する A41APT に対抗するために

35

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

自組織を「知る」ことへの挑戦
Opportunistic Compromise, Targeted Deployment 時代に生き残るために●攻撃者は、目的に関係する広範囲に攻撃を仕掛け、侵害できてからどうするか考える○○●

本社がダメなら子会社、子会社がダメなら海外拠点など
セキュリティ対策の甘い所から優先的にインシデントが発生する傾向

自組織を本当の意味で知っているかが肝○関連組織 (海外拠点、子会社、グループ会社) の状況
■
■
■

○
○
○
○

本社側で管理しきれない運用体制やシステム利用できる予算が少ない本社とNWやシステムが共有されている

2020年以降、これらの傾向は変化していない

運用構築ベンダ丸投げの体制
ネットワーク管理
アカウント管理
エンドポイント管理
36

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

まとめ●

A41APT の曖昧さ○○○●継続したマルウェア開発、関連 TTPs の増加
背後に見える攻撃グループ像は複数存在
ただし、起点はインターネット境界

A41APT であっても侵入型ランサムウェアであっても同じ考えが必要○

海外拠点や関連会社含めた、インターネット境界保護が重要
■

○
○

●

構築・運用ベンダも考慮した体制づくり

C2 確立後のツールや AD 関連操作を検知する仕組み
EDR やログイン監査、自動起動エントリチェックによる積極的な脅威ハンティング

情報共有をしていく形○○

各社それぞれの事例だけでは全容を捉えきれない被害組織につながらない、各社の事例を持ち寄る形
37

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

A41APT に関する参考 URL
1.

2.

3.
4.

5.

A41APT case ~ Analysis of the Stealth APT Campaign Threatening○
https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_202_niwa-yanagishita_jp.pdf○
https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_202_niwa-yanagishita_en.pdf
APT10：A41APTの活動内で発見された高度なマルチレイヤー型ローダー「Ecipekac」 | カスペルスキー公式ブログ○
https://blog.kaspersky.co.jp/apt10-sophisticated-multi-layered-loader-ecipekac-discovered-in-a41apt-campaign/
30393/○
https://securelist.com/apt10-sophisticated-multi-layered-loader-ecipekac-discovered-in-a41apt-campaign/10151
9/

APT10: Tracking down the stealth activity of the A41APT campaign○
https://media.kasperskydaily.com/wp-content/uploads/sites/86/2021/02/25140359/greatidea_A41_v1.0.pdf
標的型攻撃の実態と対策アプローチ 第5版 日本を狙うサイバーエスピオナージの動向2020年度 - Macnica Networks,TeamT5○
https://www.macnica.co.jp/business/security/manufacturers/files/mpressioncss_ta_report_2020_5.pdf「Earth Tengshe」によるマルウェア「SigLoader」を用いた攻撃キャンペーンで観測された新たなペイロード○
https://blog.trendmicro.co.jp/archives/29842

38

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

その他参考 URL
1.
2.

Uncovering New Activity By APT10 | FortiGuard Labs
○ https://www.fortinet.com/blog/threat-research/uncovering-new-activity-by-aptInsights into Ransomware Spread Using Exchange 1-Day Vulnerabilities 1-2 - NSFOCUS, Inc.,○ https://nsfocusglobal.com/insights-into-ransomware-spread-using-exchange-1-day-vulnerabiliti
es-1-2/

3.

Twitter

4.

5.

○ https://twitter.com/Manu_De_Lucia/status/1430115616862638080○ https://twitter.com/fr0gger_/status/1430213808434339842
Guidance for preventing, detecting, and hunting for exploitation of the Log4j 2 vulnerability○ https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-andhunting-for-cve-2021-44228-log4j-2-exploitation/
AutoRuns○ https://docs.microsoft.com/ja-jp/sysinternals/downloads/autoruns
39

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

IoCs
Value

TypeDescription

cf5ec3b803563d8ef68138f5303ebc362b72da36da29b9cba3062ae996db9234

SHA256

HUILoader

c13f93b7bb1f8f5f9bd6dd4d25f7af873119c8b8248490de6bd9b29d0c68783eSHA256

Encoded SodaMaster shellcode

168.100.8.20

IPSodaMaster C29bec85e6a3d811826580540b541723c6b5236377a3a980b1ffa5bf5f749a99d4

SHA256

HUILoader

7db327cc7bd622038f69b4df4178ca3145659a73cbcb10d0228e48f2ece60896

SHA256

Encoded SodaMaster shellcode

www[.]monferriina[.]com

DomainSodamaster C2

c0ed7939945726b61100009b926917723fdc5f9b2df0be070f2a500b6edf161c

SHA256

SigLoader (Layer I)

0a570b32d14799f6351ee211093567450d41705ca79e236a38ca15f135d78bfd

SHA256

SigLoader (Layer I)

2da5e37ec4c7059a7935165039ea31b0c9cc8f1bb0d0c620759776979158cf30

SHA256

SigLoader (Layer I)

e8797b4334fbaa067d5f91d1481bd8f55bf2e45483a92a8ea7030c2c604dd273

SHA256

SigLoader (Layer I)

68dd499bca62e004c97ccc17f68e3d6dde2885446924dabe8cc525763caa08a3

SHA256

Encrypted SodaMaster shellcode

192.248.183.113

IP

SodaMaster C2

1f1bcb03b008c4fdd462e7d2b5db5ca321ff6d56bbb22cddd39c82df1f6a038f

SHA256

SigLoader (Layer I)

7337071599eb49c75c63dff210aa516ea8dbbe99a8a66237f66f3f3c7f5aed31

SHA256

Encrypted SigLoader shellcode

59986e20e03774c7d0f5adb4eca394f5f51b01a8c2ba9cb6c1ce30f9312b9566

SHA256

Encrypted SodaMaster shellcode

185.10.16.115

IPSodaMaster C2

8efcecc00763ce9269a01d2b5918873144746c4b203be28c92459f5301927961

SHA256

HUILoader in 2015

20fc3cf1afcad9e6f19e9abebfc9daf374909801d874c3d276b913f12d6230ec

SHA256

Mimikatz

40

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

参考: 不審な自動起動エントリの確認
EDR やフォレンジック調査がすぐに行えない場合●●Autoruns などを用いて自動起動エントリを調査することが有効
A41APT キャンペーンでは、タスクスケジューラが使用されるため Scheduled Tasks から以下の条件にあてはまるタスクを調査○C:¥Windows¥ や C:¥Intel¥ 配下に存在するサードパーティ製の実行ファイル等

41

Japan Security Analyst Conference 2022 - カオス化する A41APT キャンペーン に対して私達ができること

IOCs - 使用されたスケジュールタスク
プログラム

Descritpion

C:\Windows\RoutineMaintenance.exe

Publisher
D3L

C:\Windows\ceiprole.exe

Malwarebytes Anti-Exploit 64bit tasks

Malwarebytes Corporation

C:\Windows\Vss\Writers\System\FamilySafety.exe

Java(TM) Platform SE binary

International Business Machines Corporation

C:\Windows\System32\winrm\0409\usoclient.exe

OpenSSL application

OpenVPN Inc.

C:\Windows\System32\da-DK\DataProviders.exe

OpenSSL application

OpenVPN Inc.

その他にVMware Tools、SandboxieなどProgram Files配下の3rd Party 製の実行ファイルが C:¥Windows や C:¥Intel¥ に設置される可能性がある
42

Japan Security Analyst Conference 2022

ご清聴ありがとうございました